Trojan.BtcMine.3859

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\dialersvc64

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\EEJDBRFD] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\EEJDBRFD] 'ImagePath' = '%ALLUSERSPROFILE%\varlzmdynbpg\gtmyjijmbxpo.exe'

Создает следующие сервисы

'EEJDBRFD' %ALLUSERSPROFILE%\varlzmdynbpg\gtmyjijmbxpo.exe

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force

Внедряет код в

следующие системные процессы:

<SYSTEM32>\dialer.exe

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\varlzmdynbpg\gtmyjijmbxpo.exe
%WINDIR%\temp\__psscriptpolicytest_1bkdeyd4.p02.ps1
%WINDIR%\temp\__psscriptpolicytest_rmsyvtd4.b3x.psm1
%WINDIR%\temp\content\192-2516-powershell.exe-15-55-58-240.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-01-909.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-03-427.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-04-014.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-04-129.dump
%WINDIR%\temp\__psscriptpolicytest_glrfi4bv.mjp.ps1
%WINDIR%\temp\__psscriptpolicytest_vtuilpoh.4rk.psm1
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-05-522.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-05-666.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-06-019.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-06-543.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-07-215.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-07-718.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-08-778.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-09-096.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-09-227.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-09-299.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-09-382.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-09-421.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-09-491.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\moduleanalysiscache
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-15-742.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-16-094.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-16-285.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-16-322.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-16-342.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-16-573.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-16-734.dump
%WINDIR%\temp\content\192-2516-powershell.exe-15-56-17-262.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive

Другое

Ищет следующие окна

ClassName: 'OleMainThreadWndClass' WindowName: ''

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\varlzmdynbpg\gtmyjijmbxpo.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\dialer.exe'
'<SYSTEM32>\sc.exe' delete "EEJDBRFD"
'<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
'<SYSTEM32>\sc.exe' create "EEJDBRFD" binpath= "%ALLUSERSPROFILE%\varlzmdynbpg\gtmyjijmbxpo.exe" start= "auto"
'<SYSTEM32>\sc.exe' stop eventlog
'<SYSTEM32>\sc.exe' start "EEJDBRFD"